Проект связывает требования с реальной инфраструктурой: показывает, где и какие средства защиты устанавливаются, как они взаимодействуют друг с другом и с системой, как организованы доступ, журналирование и резервирование. По проекту ведут внедрение, а затем проверяют результат при приемке и аттестации. Без проекта защита собирается из разрозненных продуктов и дает пробелы между ними.

• Проанализировать техническое задание, результаты обследования и модель угроз; уточнить границы и исходные ограничения.
• Разработать архитектуру защиты: зоны безопасности, сегментация сети, точки применения средств, схемы взаимодействия.
• Выбрать средства защиты и обосновать выбор: функции, сертификаты, совместимость, лицензирование, поддержка.
• Описать настройки и политики: управление доступом, аутентификация, журналирование, криптографическая защита, резервное копирование.
• Подготовить проектную и рабочую документацию: схемы, спецификации, таблицы настроек, план внедрения и порядок испытаний.
• Согласовать проект с заказчиком, ИТ и службой ИБ и утвердить его перед началом внедрения.

Технический проект и рабочая документация на систему защиты: архитектура и схемы, спецификация средств защиты, настройки и политики, план внедрения, программа и методика испытаний.

Проектирование ведет организация с компетенциями в защите информации; для работ с защитой конфиденциальной информации у нее может требоваться лицензия ФСТЭК на техническую защиту конфиденциальной информации. Заказчик назначает ответственного, предоставляет исходные данные и согласует решения; ИТ-служба проверяет совместимость с инфраструктурой.

• Проверить наличие у исполнителя лицензии ФСТЭК, если проект требует ее по условиям работ, и опыт аналогичных проектов.
• Требовать обоснование выбора средств защиты, а не готовую спецификацию одного вендора.
• Убедиться, что в проект входят настройки и схемы, по которым ИТ-служба сможет внедрять и сопровождать систему.
• Согласовать программу и методику испытаний до начала внедрения.
• Оговорить права на документацию и порядок ее актуализации после изменений системы.